Circular IF/N° 232

Intendencia de Fondos y Seguros Previsionales
Subdepartamento de Regulación
CIRCULAR IF/N°232
Santiago, 11 de NOVIEMBRE de 2014
MODIFICA INSTRUCCIONES SOBRE EL REQUERIMIENTO DE DATOS
SENSIBLES
Esta Intendencia, en ejercicio de las facultades conferidas por la ley, en especial, las
contenidas en los artículos 110 y 114 del DFL N°1, de 2005, del Ministerio de Salud,
viene en dictar las siguientes instrucciones de carácter general.
I.
OBJETIVO
Modificar las normas que regulan el procedimiento a seguir frente a los requerimientos
de datos sensibles de cotizantes y beneficiarios, excluyendo al efecto, al Fondo
Nacional de Salud.
II.
MODIFICA LA CIRCULAR IF/N°131, DEL 30 DE JULIO DE 2010, QUE
CONTIENE EL COMPENDIO DE NORMAS ADMINISTRATIVAS EN MATERIA DE
PROCEDIMIENTOS.
En el Título III, “Información médica de los beneficiarios de isapres y Fonasa”, del
Capítulo VI “Procedimientos Operativos de las Isapres”:
a) Modifícase su enunciado, quedando como sigue: "Información médica de los
beneficiarios de isapres".
b) Reemplázase en el primer párrafo, la expresión "los seguros", por "las isapres",
quedando como sigue:
"El manejo de la información que las isapres requieran para el otorgamiento de los
beneficios legales y contractuales que les sean requeridos se regirán por las
instrucciones que se indican."
c) Elimínase del punto 3, “Procedimiento que deberán adoptar los seguros
previsionales de salud frente a requerimientos de datos sensibles de sus cotizantes y
beneficiarios", las referencias hechas al Fondo Nacional de Salud, ajustando su
redacción, quedando de la siguiente forma:
“3. Procedimiento que deberán adoptar las isapres frente a requerimientos
de datos sensibles de sus cotizantes y beneficiarios".
3.1. Generalidades
Las isapres, están habilitadas legalmente para efectuar tratamiento de datos sensibles
relativos al estado o condición de salud de sus beneficiarios y/o ex beneficiarios, con el
objeto de proceder a la determinación y otorgamiento de beneficios de salud que
correspondan a los titulares de dichos datos.
Como consecuencia de lo señalado, las isapres deben velar porque los datos sensibles
de sus beneficiarios y/o ex beneficiarios sean utilizados sólo para los fines para los que
han sido recolectados, al tenor de lo previsto en el artículo 9 de la Ley Nº 19.628.
3.2. Requerimientos formulados entre isapres
En el evento que una isapre fuese requerida por otra para comunicar, ceder,
transferir, transmitir u otro tipo de operación que derive en el acceso o conocimiento
de datos sensibles de alguno de sus beneficiarios y/o ex beneficiarios, podrá acceder a
dicha solicitud, a condición de que el requerimiento se formule por escrito, precise la
información requerida, sea suscrito por alguno de los profesionales habilitados por la
aseguradora para dichos efectos y se fundamente expresamente en el otorgamiento,
determinación o financiamiento de un beneficio de salud, el que deberá señalarse con
precisión.
Las isapres se abstendrán de proporcionar
expresamente mencionados, tales como el
afiliación, a menos de contar y proceder con
información, en los términos expresados en el
información para otros fines que los
otorgar información para efectos de
la autorización expresa del titular de la
3.3 de este Título.
3.3. Requerimientos formulados por terceros
En el evento que una isapre fuese requerida por un tercero para comunicar, ceder,
transferir, transmitir u otro tipo de operación que derive en el tratamiento de datos
sensibles de sus beneficiarios y/o ex beneficiarios, deberá abstenerse de acceder a
dicha solicitud, cualquiera sea la causa invocada como fundamento de la petición, a
menos que el titular de los datos consienta expresamente en ello y autorice que se
proporcione la información.
Dicha autorización deberá ser otorgada por el titular de los datos sensibles o por su
representante legal, a la isapre, por escrito, en términos claros y explícitos, precisando
los datos que el asegurador podrá entregar o informar, y con plena individualización
del beneficiario y/o ex beneficiario, cuando corresponda.
Debido al carácter personal de la autorización, un cotizante no podrá autorizar el
tratamiento de datos sensibles de uno de sus beneficiarios y/o ex beneficiarios de su
contrato de salud, a menos que sea su representante legal.
Las autorizaciones para que una isapre pueda tratar datos sensibles de un beneficiario
y/o ex beneficiario, deben otorgarse caso a caso y la autorización se extingue una vez
cumplido su objeto.
La autorización no podrá otorgarse en términos generales ni para eventos futuros.
La autorización es esencialmente revocable por quien la hubiese otorgado, salvo que
la revoque de manera intempestiva, es decir, una vez que la autorización haya
producido sus efectos o cuando la isapre haya actuado conforme a ella.
3.4. Requerimientos formulados por compañías de seguros
En caso que una compañía aseguradora o un liquidador de siniestro, en su caso,
requiera de una isapre la comunicación de cualquier tipo de información que pueda
derivar en el tratamiento de datos sensibles respecto de un beneficiario o ex
beneficiario, ésta podrá entregar la información solicitada bajo responsabilidad del
requirente, siempre que éste acredite previamente la autorización para solicitar dicha
información del titular de los datos o de sus herederos.
Conforme a las normas específicas en relación a los seguros regulados por la
Superintendencia de Valores y Seguros, la autorización podrá otorgarse en la
propuesta de seguro, solicitud de incorporación, póliza, denuncia de siniestro, o en
otro documento autorizado especialmente por dicha Superintendencia.
Si la isapre requerida considera insuficiente la autorización invocada, se podrá
proceder con la autorización expresa del titular de la información, en los términos
expresados en el 3.3 de este Título.
3.5. Requerimientos formulados por las Administradoras de Fondos de
Pensiones
Las Administradoras de Fondos de Pensiones están facultadas para requerir a las
isapres información sobre la fecha de inicio y término de una licencia médica que haya
generado derecho a subsidio por incapacidad laboral a la fecha de ejecutoria de un
dictamen de invalidez, y sobre las patologías invocadas en la misma, debiendo las
aseguradoras proporcionar la información requerida.
Cabe precisar que, conforme dispone el N°1, del Título II, del Capítulo II “De los
Subsidios por Incapacidad Laboral”, del Compendio de Beneficios, contenido en la
Circular IF/N°77, 25.07.2008, las AFP solicitarán la información señalada
precedentemente dentro del plazo de dos días hábiles, contado desde que reciban el
dictamen de invalidez ejecutoriado y acompañarán copia del mismo.
En cumplimiento a la referida instrucción, las isapres deberán proporcionar la
información solicitada en un plazo no superior a siete días contados desde la fecha de
recepción del requerimiento.
3.6. Entrega de información de cotizantes y/o beneficiarios o beneficiarias
desde las isapres a los establecimientos privados de venta, arriendo,
distribución o entrega de artículos, insumos y/o medicamentos de apoyo
terapéutico y medidas de resguardo de dicha información
3.6.1. Transmisión segura de información
La información relativa a los beneficiarios y beneficiarias de las isapres y que deba ser
entregada a los establecimientos privados de venta, arriendo, distribución o entrega
de artículos, insumos y/o medicamentos de apoyo terapéutico (tales como centros de
órtesis, centros de terapia respiratoria, farmacias, ópticas, entre otros) en virtud de
los convenios que hubiesen suscrito o que en el futuro suscriban, para el otorgamiento
de los beneficios de salud legales y contractuales, deberá transmitirse mediante un
mecanismo que asegure la protección adecuada de la misma, evitando, en cuanto sea
posible, el acceso del prestador a antecedentes de la persona beneficiaria que tengan
el carácter de datos sensibles, a la luz de la definición contenida en la letra g) del
artículo 2° de la Ley N° 19.628.
3.6.2. Mecanismos de protección y actualización de la información
Las isapres adoptarán los mecanismos que permitan resguardar la totalidad de la
información y, en particular, aquélla que contenga datos sensibles, de manera que los
prestadores con quienes han suscrito o suscriban convenios para el otorgamiento de
los beneficios de que se trate, sólo accedan a la información mínima e indispensable
que permita entregar dichos beneficios.
Además, adoptarán los resguardos conducentes a que la información de que
dispongan los prestadores mencionados sea fidedigna y lo más actualizada posible, a
objeto de que los beneficiarios vean satisfecho el acceso a los beneficios que les
correspondan.
3.6.3. Cláusula contractual
Las isapres deberán incorporar a todos aquellos convenios vigentes, o que suscriban
en el futuro, con los prestadores a que se refieren estas instrucciones, una cláusula
que establezca la responsabilidad del prestador en relación al manejo y tratamiento de
las bases de datos de sus beneficiarios y beneficiarias, y muy particularmente en
relación a la información que contenga datos sensibles, con el objeto de precaver la
ocurrencia de eventos que generen perjuicios de cualquier naturaleza a las personas
de cuya información se trate.
3.7. Procedimientos de resguardo de información
Las isapres deberán desarrollar e implementar procedimientos administrativos que
permitan resguardar la privacidad y confidencialidad de la información que hubiesen
requerido y recibido para los fines definidos en este Título e identificar a los
funcionarios responsables de su manejo y control.
La información acerca de los procedimientos y responsables
permanentemente a disposición de esta Superintendencia.
deberá
estar
III. MODIFICA LA CIRCULAR IF/N°124, DEL 30 DE JUNIO DE 2010, QUE
CONTIENE EL COMPENDIO DE NORMAS ADMINISTRATIVAS EN MATERIA DE
INFORMACIÓN.
En el Título V, “Registros de información que deben mantener los aseguradores”, del
Capítulo IV “Información relativa al funcionamiento de las isapres”:
a) Modifícase su enunciado, quedando como sigue: "Registros de Información que
deben mantener las isapres".
b) Modifícase el numeral I "Registros relativos a la información sensible de cotizantes
y beneficiarios", eliminado las referencia hechas al Fonasa y ajustando su redacción,
quedando de la siguiente manera:
I. Registros relativos a la información sensible de cotizantes y beneficiarios
Las isapres están habilitadas legalmente para efectuar tratamiento de datos sensibles
relativos al estado o condición de salud de sus beneficiarios y/o ex beneficiarios, con el
objeto de proceder a la determinación y otorgamiento de beneficios de salud que
correspondan a los titulares de dichos datos.
Como consecuencia de lo señalado, las isapres deben velar porque los datos sensibles
de sus beneficiarios y/o ex beneficiarios sean utilizados sólo para los fines para los que
han sido recolectados, al tenor de lo previsto en el artículo 9 de la Ley N°19.628.
1. Registros de peticiones de información
Las isapres habilitarán los siguientes registros, que deberán permanecer a disposición
de la Superintendencia de Salud:
1.1. Registro en el que se consignen las peticiones de información que reciban de otra
isapre, indicando quién ha formulado la solicitud y un extracto de la respuesta que se
hubiere dado.
1.2. Registro en el que se consignen las peticiones formuladas por terceros,
compañías de seguro, liquidadores de siniestro y administradoras de fondos de
pensiones, distinguiendo al peticionario, individualizando al solicitante y un extracto de
la respuesta que se hubiere dado.
1.3. Registro en el que se consignen las peticiones de información que se formulen por
el titular de los datos y la fecha de su entrega.
2. Procedimientos de resguardo de información
Las isapres deberán desarrollar e implementar procedimientos administrativos que
permitan resguardar la privacidad y confidencialidad de la información que hubiesen
requerido y recibido de otros seguros para los fines definidos en este Título e
identificar a los funcionarios responsables de su manejo y control.
La información acerca de los procedimientos y responsables
permanentemente a disposición de la Superintendencia.
deberá
estar
3. Información a la Superintendencia acerca de los mecanismos que se
implementen y mantengan operativos relativos a la entrega de información
de cotizantes y/o beneficiarios o beneficiarias desde las isapres a los
establecimientos privados de venta, arriendo, distribución o entrega de
artículos, insumos y/o medicamentos de apoyo terapéutico y medidas de
resguardo de dicha información
La información relativa a los beneficiarios y beneficiarias de isapre y que deba ser
entregada a los establecimientos privados de venta, arriendo, distribución o entrega
de artículos, insumos y/o medicamentos de apoyo terapéutico (tales como centros de
órtesis, centros de terapia respiratoria, farmacias, ópticas, entre otros) en virtud de
los convenios que hubiesen suscrito o que en el futuro suscriban, para el otorgamiento
de los beneficios de salud legales y contractuales, deberá transmitirse mediante un
mecanismo que asegure la protección adecuada de la misma, evitando, en cuanto sea
posible, el acceso del prestador a antecedentes de la persona beneficiaria que tengan
el carácter de datos sensibles, a la luz de la definición contenida en la letra g) del
artículo 2° de la Ley N° 19.628.
Los mecanismos que las isapres adopten o hubiesen adoptado para cumplir con estas
instrucciones deberán ser informados a la Superintendencia de Salud, remitiendo una
carta al Departamento de Fiscalización.
Toda modificación que experimente la información en cuestión debe ser informada, en
los términos expresados en el párrafo anterior, a más tardar dentro de la semana
siguiente a su implementación.
IV.
VIGENCIA.
La presente Circular entrará en vigencia a partir de su notificación.
NYDIA CONTARDO GUERRA
INTENDENTE DE FONDOS Y SEGUROS
PREVISIONALES DE SALUD (TP)
AMAW/MMFA
Distribución
Gerentes Generales de Isapres
Directora Fonasa
Intendencia de Fondos
Subdepartamento de Regulación
Oficina de Partes